اختبار الاختراق مقابل فحص الثغرات: ماذا تشتري أولاً؟

تصلك نتيجة فحص ثغرات فيها مئات النتائج، وتقول الجهة البائعة إن النظام جاهز للإطلاق. أو تطلب اختبار اختراق، فتصلك وثيقة طويلة تصف ثلاث ثغرات خطيرة ولسان حالك يسأل: أيها يمنع صفقتنا مع جهة مؤسسية؟ وكلا التقريرين قد يكون صحيحاً في سياقه. الفحص والاختبار يجيبان عن سؤالين مختلفين، والخطأ في الشراء أن تختار أحدهما بينما النية تستدعي الآخر.

هذا الدليل يفصل بين الأداتين على التغطية والإيجابيات الكاذبة وسلاسل الاستغلال وجودة التقرير، ثم يعرض ماذا تشتري أولاً بحسب المرحلة: قبل الإطلاق، أو قبل صفقة مؤسسية، أو بعد حادث أمني، أو كمسح سنوي روتيني. يشرح أيضاً كيف تُصاغ الحزمة الضيقة، وكيف تغيّر التزامات نظام حماية البيانات الشخصية هذا القرار، وكيف تقرأ النتيجة بحيث تفهم الخطورة وقابلية الاستغلال والأثر على العمل. نقطة سعرية واحدة واضحة: خدمة الأمن السيبراني لدينا تُسعَّر بعرض سعري، لأن الجهد يتبع النطاق ولا يوجد نطاق منشور لها.

فحص الثغرات أداة آلية تعمل بما في اسمها. تخبرك أن مكتبات النظام قديمة، وأن نقطة إدارة مكشوفة للإنترنت، وأن بادئة عنوان أمنية مفقودة، وأن نسخة مكتبة تحمل عيبا موثقا. قوتها واضحة. التغطية سريعة وواسعة، وإعادة المسح رخيصة، والتشغيل لا يحتاج توقفا ولا حسابات خاصة. حدودها ثلاثة. أولا، الاعتماد على التوقيعات والبصمات، فما غاب عن قاعدة بيانات الأداة يغيب عن النتيجة. ثانيا، الإيجابيات الكاذبة، إذ تبلغ عن مشكلة ظاهرة على السطح وغير قابلة للوصول من المدخل الذي يهم المهاجم. ثالثا، غياب سلاسل الاستغلال، إذ تسجل كل نقطة وحدها ولا تبني مسارات تجمع نقطتين للوصول إلى البيانات. الفاحص يجيب عن المشاكل المعروفة الموجودة. لا يثبت ما يستطيع المهاجم إنجازه.

اختبار الاختراق البشري يبدأ حيث ينتهي الفحص. يأخذ شخص متمرس نتيجة محددة ويحاول بلوغها بخطوات متتابعة. يقرأ ما كشفه الفاحص، ويتحقق من كل بند يدويا، ثم يربط النقاط معا. عيب في إدخال المستخدم يقود إلى حساب إداري، وخطأ في صلاحيات واجهة برمجية يكشف ملفات عميل آخر، ومسار تسجيل ضعيف يتحول إلى استيلاء كامل على الحساب. قوة هذا العمل مباشرة. يزيل ضجيج الإيجابيات الكاذبة، لأن المشكلة التي لا يمكن استغلالها تستبعد، والمشكلة الحقيقية تثبت ببرهان قابل لإعادة الإنتاج. وجودة التقرير البشري مختلفة أيضا. التقرير الجيد يشرح خطر العمل، ويعرض السلسلة خطوة بخطوة، ويقدم معالجة عملية، ويتضمن إعادة اختبار بعد الإصلاح.

قبل الإطلاق، الهدف إثبات أن المداخل الرئيسية لا تسمح بالوصول غير المصرح. الترتيب العملي يبدأ بفحص آلي للجلسات والتبعية والمكتبات، ثم اختبار اختراق بنطاق ضيق على التدفقات التي تحرك البيانات. الفحص الآلي يُزيل الأخطاء الواضحة بسرعة، والاختبار البشري يتحقق من صلاحيات الاطلاع على مستندات المستخدمين وإجراءات الدفع وتسجيل الدخول بالهاتف. لا تطلب اختباراً شاملاً لكل الطبقات قبل الإصدار الأول. اطلب اختباراً ضيقاً على المسار الذي يحمل البيانات الشخصية وعلى المداخل المعرضة للإنترنت، مع مساحة وقت للإصلاح وإعادة الاختبار. إطلاق ينتظر تقريراً يخلط كل شيء يضيع الوقت ويقلل جودة النتائج.

قبل صفقة مؤسسية، الهدف إثبات العناية، لا سرد ملامح التقنيات. تطلب جهات كثيرة دليلاً حديثاً على اختبار الاختراق وعلى فحص الثغرات الدوري. هنا الترتيب التجاري المناسب يبدأ بفحص نطاق كامل يغطي كل ما سيراه العميل، ثم اختبار اختراق منظم يثبت المعاملات العالمية على بيانات العملاء، مع شهادات وخطط معالجة لها صلة مباشرة ببنود التعاقد. تقرير الفحص وحده لا يثبت عناية، لأنه قائمة قديمة. تقرير الاختبار وحده بلا مسح دوري لا يثبت مراقبة. الحزمة التي تقبلها أكبر الجهات تجمع الاثنين بتواريخ وتغطية ونطاق موثقة. للاطلاع على ما تقدمه خبرة شركتنا في هذا المجال، راجع حلول الأمن السيبراني الخاصة برصد.

بعد حادث أمني، الهدف فهم مسار الاختراق قبل إصدار أي تقرير. لا تبدأ بفحص آخر، لأنه سيعدد ما كان معروفا ويترك مسار الهجوم الفعلي مفتوحا. ابدأ بمراجعة نقطة خروج واحدة أو تسجيل دخول مشبوه أو إفصاح غير مصرح، ثم اختبار اختراق على النطاق نفسه حتى تعرف إلى أي مدى وصل المهاجم فعليا. الخروج الفعلي قد يتضمن سلوك التطبيق أو صلاحيات الخادم أو قاعدة معدة بشكل خاطئ. الفحص الآلي يستخدم هنا كخريطة، واختبار الاختراق هو الأداة التي تثبت الفشل الحالي. بعد الإصلاح، نفذ إعادة الاختبار، ثم استعد المسح الروتيني. المسح السنوي الروتيني أداة ضد الانحراف التدريجي، لا بديلا عن أي اختبار بعد حادث أو قبل عقد. حدد إيقاعا ثابتا. امسح شهريا أو كل ربع سنة عند كثرة الإصدارات، ونفذ اختبار اختراق مرة في السنة على الأقل، وأكثر عند تغير النظام جوهريا أو دخول خدمة جديدة.

نوع الصندوق يصنف المعلومات المعطاة للمهاجم، لا الجهد المبذول. الأسود لا يعطي المختبر أي معلومات ويعمل المختبر كمهاجم خارجي. يثبت افتراضات عن سطح الهجوم الخارجي لكنه يبقى ضيقا وبطيئا. الرمادي يعطي بعض المعلومات مثل حسابات المستخدمين ومخططات الواجهات البرمجية والصلاحيات العادية، ويعمل المختبر كشخص داخلي بمعرفة محدودة عن طبقات المنتج. الأبيض يعطي معلومات كاملة مثل الشفرة المصدرية وصلاحيات الخادم وخريطة البيانات، ويعمل المختبر كمهندس لديه وصول كامل لكشف ضعف التحكم بالوصول. الاختيار يتبع هدف القرار. قبل الإطلاق، العرض الخارجي يبين ما يراه الإنترنت. قبل صفقة مؤسسية، الرمادي يثبت عادة أكثر عن ضوابط المعاملات الحقيقية. قبل حادث خطير أو بعده، الأبيض يكشف الفشل الذي سيفوته الأسود.

العمق الثاني هو الهدف. اختبار الويب يفحص الصفحات والجلسات ونماذج الإدخال وملفات الرفع. اختبار الواجهات البرمجية يفحص المصادقة وحدود المعدل وصلاحيات الوسائط والاستعلامات. اختبار الجوال يفحص التخزين المحلي والبيانات المخزنة وطلبات الصلاحيات وصفحات الحساب. إذا ذكر المزود الواجهات والجوال دون اختبار منفصل، اطلب مثالا على النتائج في كل مجال. اكتب النطاق في بيان العمل. سم الهدف وإرشادات التفاعل ومصادر البيانات وبيئة الاختبار ونافذة الاختبار والهوية المطلوب التحقق منها ومسؤول كل إصلاح. النطاق الغامض يدعو إلى ساعات استكشاف طويلة ويخفض جودة التقرير. اجعل النطاق ضيقا ومقصودا، حتى يختبر فقط ما يحمله الهدف.

نظام حماية البيانات الشخصية سار بالكامل منذ سبتمبر 2024، والمشتريات في السعودية تقيم الآن ضمن هذا الإطار. نشرت الهيئة السعودية للبيانات والذكاء الاصطناعي مسودات تعديلات على اللائحة التنفيذية للاستشارات في 6 أكتوبر 2026، وتغلق الاستشارة في 5 نوفمبر 2026. المسودة تقترح إلغاء عتبة الضرر وتشترط إخطار الهيئة خلال 72 ساعة من العلم بوقوع الخرق، وتقترح متطلبا عاما بتخزين البيانات الشخصية داخل المملكة مع استثناءات محدودة. لأن التعديلات ما تزال مسودة، فهي مقترحة في المسودة لا واجبة بموجب القانون حتى تعتمد. الآثار العملية قاعدة شراء الآن فعلا.

تتحول هذه الواجبات إلى قرارات شراء ملموسة. التصميم السليم يحدد الوصول بحيث لا ترى الدور الواحد إلا البيانات التي يحتاجها، والسجلات تثبت من فتح ملف ومتى، وفترات الاحتفاظ موثقة وقابلة للإنفاذ، ومدخلات السجل طويلة بما يكفي لإعادة بناء الحادث. الاختبار البشري يتكلم عن هذا مباشرة، لأنه يثبت هل التحكم بالوصول يقيد البيانات فعليا لا العرض فقط. ابدأ بأسئلة مباشرة. أي بيانات شخصية سيعالجها النظام؟ أين تخزن البيانات؟ من يستطيع الوصول إليها من الخادم؟ أي السجلات موجودة؟ كيف تظهر السجلات الحادث بسرعة؟ اختبر هذه الأسئلة في مراسلات المزود قبل طلب العرض. للخطوات العملية، راجع قائمة الامتثال لبوابة العملاء.

الخطورة تقرأ أولا، ولا تقرأ وحدها أبدا. الخطورة الحرجة تعني عيبا بأثر كبير مثل الوصول الكامل أو التحكم بمستوى إداري أو خروج البيانات الشخصية من النظام. الخطورة وحدها لا تعني الاستغلال المباشر. ملف يمكن الوصول إليه دون مصادقة أخطر من ملف يحتاج حسابا موثقا ومهمة داخل الواجهة. النقطة التي ترفعها أداة بسهولة إشارة أداة، لا مسار مهاجم. في التقرير الجيد، تقاس كل نقطة على ثلاثة أسئلة. هل تحتاج مصادقة؟ هل تحتاج صلاحيات إدارية؟ هل يستطيع المهاجم بلوغها من الإنترنت؟ هذه الأسئلة تعيد كتابة الخطورة بلغة عملية.

أثر العمل هو المعيار الحاسم. قم النقطة على ما يعنيه الخرق للعمل. هل سجلات العملاء مكشوفة؟ هل بيانات المستخدمين ورموزهم معرضة للخطر؟ هل سجلات الدفع والفواتير متأثرة؟ هل توجد طريقة لتغيير تواريخ الميلاد أو الوثائق الرسمية؟ نقطة حرجة في جدول إعدادات عام تهم أقل من نقطة متوسطة في تصدير يراه مستخدم غير مصرح. اقرأ النتائج المجتمعة قبل الفردية. راجع سلاسل الاستغلال الكاملة، لا قائمة النقاط وحدها. معيار القبول الرئيسي ثلاثي. هل يقدم التقرير خطوات إعادة الإنتاج؟ هل يقدم إرشادات معالجة عملية؟ هل يتضمن إعادة اختبار داخل نطاق الاختبار؟ دون هذه المكونات الثلاثة، لا يقود التقرير إلى نتيجة عملية. هو قراءة ذهنية فقط.

هل نحتاج الفحص والاختبار معاً؟ نعم غالباً. الفحص الروتيني يغطي التغييرات الصغيرة المستمرة، والاختبار البشري يثبت الأثر. الفحص وحده خريطة، والاختبار وحده قرار.

ما الفرق العملي بين الأسود والرمادي والأبيض؟ الأسود يبدأ دون معلومات، والرمادي ببعض معلومات، والأبيض بمعلومات كاملة. الرمادي غالبا أفضل قبل الصفقة، والأبيض أفضل قبل حوادث جانبية للوصول الداخلي.

هل الاختبار البشري يثبت امتثالاً كاملاً؟ لا. امتثال النظام يتطلب قرارات متكاملة حول الاطلاع والتسجيل والاحتفاظ والإعلام. الاختبار البشري يثبت أجزاءً من المشكلة، ولكنه لا يستغني عن سجلات وضوابط تشغيلية.

كم مرة نفعل الاثنين؟ الفحص يتكرر بإيقاع مكثف كالشهري عند النشر المكثف. الاختبار البشري سنويا في الأقل، وأكثر عند تغير النظام بشكل فعال أو إدخال خدمة جديدة.

هل يمكن الاعتماد على تقرير اختبار قديم؟ لا. التقرير المؤرخ منتهي، وإعادة الاختبار بعد الإصلاح مطلوبة. أعد التحقق من الصلاحيات بعد كل تغيير في المداخل أو البيانات أو بنية الصلاحيات.

• اللائحة التنفيذية لنظام حماية البيانات الشخصية — المرجع الرسمي لالتزامات المعالجة والإفصاح وإخطار الحوادث.
• OWASP Web Security Testing Guide — منهجية اختبار أمان الويب والمهام بحسب نوع الاختبار.
• OWASP Top 10 — مرجع مختصر لمخاطر الويب الأكثر شيوعاً.
• بوابة نظام حماية البيانات الشخصية لدى الهيئة السعودية للبيانات والذكاء الاصطناعي — حالة النفاذ ومسودات التعديلات.